Marco legal da IA no Brasil, o que ficou de fora

O texto do PL 2338 que está em tramitação caberia em quatro páginas se a votação fosse hoje, e quatro páginas é pouco para regular o que vai decidir crédito, vaga, diagnóstico e abordagem policial dos próximos dez anos. Faço a leitura técnica do que está em mesa em abril de 2026 com a pergunta que importa para quem opera fora da bolha de Brasília: o que ficou de fora, e quem paga o preço da omissão?

O substitutivo aprovado no Senado em março fez três escolhas que precisam ser nomeadas. Primeira: optou por regulação por risco, modelo europeu, com quatro níveis, inaceitável, alto, limitado, mínimo. Segunda: criou autoridade nacional de IA com competência transversal, mas sem orçamento próprio, sem quadro de servidores efetivos, sem prazo de regulamentação infralegal. Terceira: vedou diagnóstico psicológico exclusivamente automatizado, mas deixou triagem aberta, e triagem é onde o viés entra antes de virar diagnóstico. As três escolhas têm consequência direta no que o homem negro brasileiro vai enfrentar quando o sistema aprovar o crédito, recomendar o currículo, ou indicar que ele precisa de "atenção especial" em fila de SUS digital.

O que ficou de fora me preocupa mais que o que entrou. Lista cravada com os cinco buracos que vou cobrar em audiência pública na Câmara nas próximas semanas. Primeiro buraco: obrigação de auditoria externa anual com publicação de resultado para qualquer sistema classificado como risco alto. O texto atual exige "avaliação de impacto algorítmico", mas sem padrão metodológico, sem auditor independente, sem prazo de publicação. É o que o setor de finanças chama de "auto-certificação", e a história financeira brasileira ensinou o que vale auto-certificação no Banco Central antes de 2008.

Segundo buraco: desagregação racial obrigatória de métricas de erro em qualquer sistema de risco alto que afete acesso a direito fundamental. A literatura internacional (Buolamwini e Gebru 2018, Obermeyer et al. 2019) demonstrou que precisão média esconde precisão diferencial por grupo. O Brasil tem o quesito raça/cor no IBGE desde 1991, no SUS desde 1996, no sistema escolar desde 2009. Não exigir o mesmo padrão em sistema de IA é regredir trinta anos de política de dado público em nome do "segredo proprietário". O setor pede sigilo competitivo. O Estado precisa pedir transparência cidadã. Esse é o jogo, e o texto atual entregou o sigilo sem cobrar a transparência.

Terceiro buraco: prazo legal para resposta a pedido individual de explicação. A LGPD garante o direito de explicação em decisão automatizada, artigo 20. Mas não tem prazo. O cidadão pede, a empresa demora, e o efeito da decisão já passou. Quem teve crédito negado em janeiro pede explicação em fevereiro, recebe resposta em junho, e em junho já perdeu a vaga, já alugou casa pior, já comprou carro mais velho. Sem prazo legal, 30 dias úteis seria razoável, o direito de explicação vira ficção. O texto do PL 2338 não corrige isso. Deixa pra ANPD regulamentar depois. ANPD com 40 servidores efetivos para fiscalizar 100 mil empresas. Faça a conta.

Quarto buraco: tratamento específico de modelos generativos em decisão clínica. O texto atual vê IA em saúde como sistema diagnóstico clássico, entrada de sintoma, saída de classificação. Mas a realidade clínica de 2026 já inclui modelos generativos que escrevem nota de prontuário, sugerem hipótese diagnóstica em texto narrativo, e em alguns casos respondem por chat ao paciente em horário fora do consultório. Esses modelos não foram pensados na arquitetura do PL. O posicionamento do CFP sobre IA na prática psicológica (2024) e a Cartilha de IA (CFP, 2025) já reconhecem o problema na esfera da psicologia, mas em documento de orientação, sem força normativa equivalente a resolução. O marco geral não cobre. O resultado é que cada conselho profissional vai ter que improvisar regulamentação setorial sem amparo em lei nacional, e isso significa década perdida.

Quinto buraco: penalidade real. O texto prevê multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. Para empresa grande do setor financeiro, R$ 50 milhões é arredondamento. Para a Big Tech estrangeira que opera no Brasil sem subsidiária formal, R$ 50 milhões é o orçamento de marketing de um trimestre. A multa europeia equivalente, Lei do Mercado Digital, vai até 10% do faturamento global. O Brasil entregou penalidade decorativa em troca de aplauso do setor. Quem fez essa conta política sabia o que estava trocando.

Para quem opera fora de Brasília, três recomendações que vou repetir em cada audiência. Pra empresa: comece a desagregar métrica racial hoje, antes da obrigação vir, quem chegar primeiro vai ganhar contrato por critério técnico, como a empresa D que cobri em março. Pra conselho profissional: aprovem resolução setorial agora, sem esperar marco geral, o CFP fez em abril, e isso já obriga psicólogo a documentar uso de IA em prontuário. Pra cidadão afetado: documentem cada negação, cada erro, cada explicação não-respondida. O processo civil coletivo vem, e ele vai precisar de prova individual em volume.

O marco regulatório de IA do Brasil em 2026 é melhor que nenhum. É pior que o que poderia ter sido. Quem comemora a aprovação está vendendo vitória política. Quem cobra os cinco buracos está fazendo o trabalho que a lei deixou inacabado, e esse trabalho não termina com a votação final. Começa nela. A supervisão humana cravada em palavra fechada, sem desenho operacional, é o tipo de coisa que decora bem em comunicado oficial e operacionaliza nada. Quem aceitar essa versão como definitiva está aceitando que o Brasil regule IA em 2026 como regulou agrotóxico em 1989, com texto que existe e fiscalização que não existe.